---
title: "데이터 보호 및 개인정보 보호 | Tajo"
description: "Tajo 플랫폼의 데이터 보호 세부 사항과 컴플라이언스 정보 총정리"
url: https://tajo.io/kr/docs/compliance/data-protection/
markdown: https://tajo.io/kr/docs/compliance/data-protection.md
lang: ko-KR
author: "Set Noa"
author_url: https://tajo.io/kr/set-noa/
robots: noindex
---

Tajo 사전 이용 신청

이름과 회사 이메일 주소를 입력하세요. Tajo 이용 신청을 확인할 수 있는 링크를 이메일로 보내드립니다.

# 데이터 보호 및 개인정보 보호

[Set Noa](https://tajo.io/kr/set-noa/)

이 문서는 Tajo가 판매자의 고객, 잠재 고객, 판매자 사이트 방문자의 개인정보를 어떻게 취급하는지 설명합니다. Tajo는 데이터 보호에 대한 약속을 통해 GDPR, CCPA를 비롯한 전 세계 개인정보 보호 규제를 준수합니다.

## 처리 목적과 데이터 최소화

### 판매자에게 가치를 제공하는 데 필요한 최소한의 개인정보만 처리하나요?

**그렇습니다.** Tajo는 다음을 수행하는 데 반드시 필요한 개인정보만 처리합니다:

- 마케팅 자동화를 위해 고객 정보를 Brevo와 동기화합니다
- 로열티 프로그램 기능이 동작하도록 지원합니다
- 고객의 주문과 인게이지먼트를 추적합니다
- 멀티채널 커뮤니케이션 기능을 제공합니다

개인정보란 특정 개인을 식별할 수 있는 정보(이름, 이메일 주소)나 특정 개인과 다시 연결될 수 있는 정보(주문 총액, 고객 ID)를 말합니다.

### 처리하는 개인정보와 그 처리 목적을 판매자에게 알리나요?

**그렇습니다.** Tajo는 다음을 통해 완전한 투명성을 제공합니다:

- 처리되는 모든 데이터 범주를 명확하게 정의한 데이터 처리 계약(DPA)을 제공합니다
- Brevo로 동기화되는 데이터가 무엇인지 정확히 명시한 문서를 제공합니다
- 전송되는 모든 데이터 필드를 보여 주는 명확한 API 문서를 제공합니다
- 동기화별 실행 기록을 제공해 무엇이 언제 동기화되었는지 보여줍니다

### 개인정보의 사용을 해당 목적으로만 제한하나요?

**그렇습니다.** Tajo는 개인정보를 오직 다음 용도로만 엄격하게 사용합니다:

- 이용약관에 명시된 핵심 플랫폼 서비스를 제공하는 데 사용합니다
- 마케팅 자동화를 위해 고객 데이터를 Brevo와 동기화하는 데 사용합니다
- 로열티 프로그램과 고객 인게이지먼트 기능을 운영하는 데 사용합니다
- 판매자를 위한 분석과 인사이트를 생성하는 데 사용합니다

명시적으로 밝히고 합의한 목적을 벗어나서는 고객 데이터를 사용하지 않습니다.

## 동의와 법적 근거

### 판매자와 개인정보 보호 및 데이터 보호 계약을 체결하나요?

**그렇습니다.** 모든 판매자는 다음 문서에 동의해야 합니다:

- **이용약관** - Tajo 플랫폼의 사용 방식을 규율합니다
- **데이터 처리 계약(DPA)** - 데이터 프로세서로서 Tajo가 맡는 역할을 정의합니다
- **개인정보 처리방침** - Tajo가 데이터를 취급하는 방식을 설명합니다

이 계약들은 다음 사항을 규정합니다:

- Tajo는 판매자의 고객 데이터에 대해 **프로세서(처리자)** 로 활동합니다
- 판매자는 **컨트롤러(관리자)** 로 활동하며 적법한 동의를 확보할 책임을 집니다
- 데이터 보호에 관한 양측의 의무를 명확하게 규정합니다

### 고객의 동의 결정을 존중하고 반영하나요?

**그렇습니다.** Tajo는 다음을 통해 고객의 동의를 존중합니다:

- Brevo에서 발생한 수신 거부 요청을 자동으로 처리합니다
- 수신을 거부한 고객에게는 커뮤니케이션 발송을 차단합니다
- 이메일, SMS, WhatsApp 등 모든 채널에서 고객의 설정을 준수합니다

고객이 수신을 거부하거나 동의를 철회하면 Tajo는 즉시 다음을 수행합니다:

1. 변경된 설정을 Brevo로 동기화합니다
2. 이후의 마케팅 커뮤니케이션 발송을 차단합니다
3. 동의 변경 이력을 감사 로그로 남깁니다

### 개인정보 판매를 거부하는 고객의 결정을 존중하고 반영하나요?

**그렇습니다.** Tajo는 어떠한 경우에도 고객 데이터를 판매하지 않습니다. Tajo는 다음 원칙을 지킵니다:

- 상업적 목적으로 개인정보를 제3자와 공유하지 않습니다
- 핵심 플랫폼 기능의 일부로서만 데이터를 Brevo로 전송합니다
- CCPA의 “Do Not Sell My Personal Information” 요건을 준수합니다
- 데이터 판매가 이루어지지 않는다는 사실을 명확하게 고지합니다

### 개인정보를 자동화된 의사결정에 사용하고 그 결정이 법적 효과나 중대한 영향을 미칠 수 있는 경우, 고객이 이를 거부할 수 있나요?

**해당 없음.** Tajo는 개인에게 법적 효과나 그에 준하는 중대한 영향을 미치는 자동화된 의사결정을 수행하지 않습니다. 플랫폼이 제공하는 기능은 다음과 같습니다:

- 마케팅 자동화 기능을 제공하며, 고객은 이를 전면적으로 거부할 수 있습니다
- 로열티 프로그램 관리 기능을 제공하며, 판매자가 이를 직접 제어합니다
- 고객 세분화 기능을 제공하며, 이는 판매자만 사용합니다

이 활동들은 GDPR 제22조가 정의하는 법적 또는 중대한 영향을 수반하는 자동화된 의사결정에 해당하지 않습니다.

## 저장과 보안

### 개인정보가 필요 이상으로 오래 보관되지 않도록 보관 기간을 정해 두고 있나요?

**그렇습니다.** Tajo는 명확한 데이터 보관 정책을 시행합니다:

**활성 고객 데이터:**

- 판매자 계정이 활성 상태인 동안 데이터를 보관합니다
- 지속적인 동기화와 플랫폼 기능 제공에 데이터를 사용합니다
- 판매자는 Tajo 인터페이스에서 언제든지 고객 데이터를 삭제할 수 있습니다

**계정 해지:**

- 모든 고객 데이터는 계정 해지 후 90일 이내에 삭제됩니다
- 판매자는 해지 시점에 즉시 데이터 삭제를 요청할 수 있습니다
- 백업 데이터는 백업 보관 일정(30일)에 따라 파기됩니다

**법정 보관:**

- 거래 기록은 법률이 요구하는 경우 더 오래 보관될 수 있습니다 (예: 세무 기록)
- 법적 준수 목적에 한해 최소한의 데이터만 보관합니다

판매자는 다음 사항에 대한 책임을 집니다:

- 자체 데이터 처리 활동의 보관 기간을 직접 관리합니다
- 더 이상 필요하지 않은 고객 데이터를 삭제합니다
- 해당 관할권에 적용되는 데이터 보호 법령을 준수합니다

### 저장 중인 데이터와 전송 중인 데이터를 암호화하나요?

**그렇습니다.** Tajo는 업계 표준 암호화를 적용합니다:

**전송 중:**

- 모든 데이터 전송에 TLS 1.3을 적용합니다
- 모든 웹 트래픽에 HTTPS를 강제로 적용합니다
- Brevo와의 API 연결을 암호화합니다
- 모바일 애플리케이션에 인증서 피닝을 적용합니다

**저장 중:**

- 데이터베이스 저장에 AES-256 암호화를 적용합니다
- 백업 데이터를 암호화합니다
- 업로드된 문서는 암호화된 파일 저장소에 보관합니다
- 민감한 필드(예: API 키)에 데이터베이스 수준 암호화를 적용합니다

### 데이터 백업을 암호화하나요?

**그렇습니다.** 모든 백업 데이터를 암호화합니다:

- 매일 자동으로 실행되는 백업을 AES-256으로 암호화합니다
- 백업 파일은 저장 시점에 암호화된 상태로 보관합니다
- 백업 암호화 키를 안전하게 관리합니다
- 무결성을 확인하기 위해 정기적으로 백업 복원 테스트를 수행합니다

### 테스트 데이터와 운영 데이터를 분리하나요?

**그렇습니다.** Tajo는 엄격한 분리 원칙을 유지합니다:

- 운영 환경과 개발 및 테스트 환경을 완전히 분리해 운영합니다
- 테스트 환경에서는 운영 데이터를 사용하지 않습니다
- 테스트 데이터는 익명화된 합성 데이터로 생성합니다
- 데이터베이스, 서버, 접근 통제를 각각 분리합니다
- 환경마다 서로 다른 API 키와 자격 증명을 사용합니다

### 데이터 유실 방지 전략이 있나요?

**그렇습니다.** Tajo는 종합적인 데이터 유실 방지 체계를 운영합니다:

**예방 조치:**

- 24시간마다 자동으로 백업을 수행합니다
- 데이터베이스를 실시간으로 복제합니다
- 여러 가용 영역에 걸쳐 저장소를 이중화합니다
- 버전 관리와 변경 이력 추적을 적용합니다

**탐지:**

- 데이터 무결성을 자동으로 모니터링합니다
- 비정상적인 데이터 접근 패턴을 이상 탐지로 확인합니다
- 정기적으로 보안 감사와 모의 침투 테스트를 실시합니다
- 데이터 유출이 의심되면 자동으로 알림을 발송합니다

**복구:**

- 특정 시점으로 되돌리는 복구 기능을 제공합니다
- 재해 복구 절차를 문서로 갖추고 있습니다
- 정기적으로 재해 복구 훈련을 실시합니다
- RTO(목표 복구 시간)는 4시간입니다
- RPO(목표 복구 시점)는 24시간입니다

## 접근 통제

### 직원의 고객 개인정보 접근을 제한하나요?

**그렇습니다.** 고객 데이터에 대한 접근은 엄격하게 통제합니다:

**접근 원칙:**

- 최소 권한 원칙을 적용합니다
- 역할 기반 접근 통제(RBAC)를 적용합니다
- 업무상 알 필요가 있는 경우에만 접근을 허용합니다
- 접근 권한을 분기마다 정기적으로 검토합니다

**접근 수준:**

- **접근 없음**: 대부분의 직원은 운영 환경의 고객 데이터에 접근할 수 없습니다
- **읽기 전용**: 지원 담당자는 문제 해결을 위해 제한적이고 감사되는 읽기 권한만 가집니다
- **관리자**: 데이터베이스 관리자는 상위 권한을 가지며 모든 활동이 상세히 기록됩니다
- **긴급**: 중대한 사고에 한해 비상 접근(break-glass) 절차를 사용합니다

**통제 수단:**

- 모든 직원에게 다중 인증(MFA)을 필수로 적용합니다
- 원격 접속에는 VPN 사용을 의무화합니다
- 관리자 접근에는 IP 허용 목록을 적용합니다
- 세션 만료와 자동 잠금을 적용합니다

### 직원 비밀번호에 강력한 요건을 적용하나요?

**그렇습니다.** Tajo는 엔터프라이즈급 비밀번호 정책을 적용합니다:

**요건:**

- 비밀번호는 최소 16자 이상이어야 합니다
- 대문자, 소문자, 숫자, 특수문자를 모두 포함해야 합니다
- 최근 12개 비밀번호는 다시 사용할 수 없습니다
- 비밀번호는 90일마다 만료됩니다
- 인증에 5회 실패하면 계정이 잠깁니다

**보안 강화:**

- 모든 직원에게 다중 인증(MFA)을 의무적으로 적용합니다
- 기업 ID 공급자와 싱글 사인온(SSO)을 연동합니다
- 생체 인증을 지원합니다
- 전 직원에게 비밀번호 관리자 사용을 의무화합니다
- 정기적으로 보안 인식 교육을 실시합니다

### 개인정보 접근 기록을 남기나요?

**그렇습니다.** 종합적인 감사 로그를 유지합니다:

**기록되는 활동:**

- 고객 데이터에 접근하는 모든 데이터베이스 쿼리를 기록합니다
- 고객 정보가 포함된 Brevo API 호출을 기록합니다
- 운영 시스템에 대한 관리자 접근을 기록합니다
- 데이터 내보내기와 대량 작업을 기록합니다
- 설정 변경 내역을 기록합니다
- 인증에 실패한 시도를 기록합니다

**로그에 포함되는 정보:**

- 접근이 발생한 시각
- 접근한 사용자의 신원
- 접근에 사용된 IP 주소와 위치
- 수행한 작업의 내용
- 접근한 데이터의 레코드 ID
- 작업의 성공 또는 실패 여부

**로그 관리:**

- 로그는 최소 1년 이상 보관합니다
- 로그 저장소를 암호화합니다
- 위변조를 방지하는 로깅 시스템을 사용합니다
- 로그를 정기적으로 검토합니다
- 실시간 모니터링을 위해 SIEM과 연동합니다
- 의심스러운 활동이 감지되면 자동으로 알림을 발송합니다

### 보안 사고 대응 정책이 있나요?

**그렇습니다.** Tajo는 종합적인 보안 사고 대응 계획을 운영합니다:

**탐지와 평가:**

- 연중무휴 24시간 보안 모니터링을 수행합니다
- 위협을 자동으로 탐지합니다
- 사고의 심각도를 분류합니다
- 1시간 이내에 초기 평가를 완료합니다

**대응 팀:**

- 전담 보안 사고 대응 팀을 운영합니다
- 명확한 에스컬레이션 절차를 갖추고 있습니다
- 역할과 책임을 명시해 두고 있습니다
- 외부 보안 전문가와 상시 자문 계약을 맺고 있습니다

**대응 절차:**

1. **격리**: 영향을 받은 시스템을 즉시 분리합니다
2. **조사**: 포렌식 분석으로 사고의 범위와 원인을 규명합니다
3. **제거**: 위협을 제거하고 취약점을 차단합니다
4. **복구**: 시스템을 복원하고 보안 상태를 확인합니다
5. **통지**: 법령이 요구하는 바에 따라 영향을 받은 당사자에게 통지합니다
6. **사후 검토**: 배운 점을 문서로 남기고 프로세스를 개선합니다

**통지 기한:**

- 데이터 유출이 확인되면 72시간 이내에 판매자에게 통지합니다
- 관련 법령이 요구하는 바에 따라 규제 당국에 통지합니다 (예: GDPR의 72시간 요건)
- 개인의 권리에 높은 위험이 발생하는 경우 해당 개인에게 통지합니다

**문서화:**

- 모든 사고를 상세하게 문서로 남깁니다
- 연간 보안 사고 보고서를 발행합니다
- 정기적으로 교육과 도상 훈련을 실시합니다
- 대응 절차를 지속적으로 개선합니다

## 데이터 처리 계약(DPA)

Tajo는 GDPR 제28조의 요건을 충족하는 종합적인 데이터 처리 계약에 따라 운영됩니다. 주요 내용은 다음과 같습니다:

### 역할과 책임

- **Tajo는 프로세서로 활동합니다** 판매자의 고객 데이터를 처리하는 역할을 맡습니다

- **판매자는 컨트롤러로 활동합니다** 판매자는 다음 사항에 대한 책임을 집니다:

  - 고객으로부터 적법한 동의를 확보합니다
  - 개인정보 처리 사실을 고객에게 고지합니다
  - 정보주체의 권리 행사 요청을 처리합니다
  - 처리의 목적과 수단을 결정합니다

### 처리 세부 사항

**목적:** Tajo 플랫폼 서비스를 제공하기 위한 것이며, 구체적으로 다음을 포함합니다:

- 고객 데이터를 Brevo와 동기화합니다
- 로열티 프로그램을 관리합니다
- 멀티채널 마케팅을 자동화합니다
- 분석과 리포팅을 제공합니다

**데이터 범주:**

- 연락처 정보 (이름, 이메일, 전화번호)
- 주문 이력과 거래 데이터
- 고객의 설정과 동의 상태
- 행동 데이터 (클릭, 오픈, 인게이지먼트)
- 로열티 프로그램 데이터 (포인트, 등급, 리워드)

**정보주체:**

- 판매자의 고객
- 웹사이트 방문자
- 뉴스레터 구독자
- 로열티 프로그램 회원

### 하위 처리자

Tajo는 다음 하위 처리자를 이용합니다:

| 하위 처리자 | 서비스 | 위치 | 보호 조치 |
| --- | --- | --- | --- |
| Brevo | 이메일/SMS/WhatsApp 플랫폼 | 프랑스 (EU) | GDPR 준수, 표준계약조항 |
| AWS | 클라우드 인프라 | EU 리전 | GDPR 준수, EU-US 데이터 프라이버시 프레임워크 |
| Cloudflare | CDN 및 보안 | 전 세계 | 표준계약조항, 데이터 현지화 |

**변경 통지:**

- 새로운 하위 처리자를 이용하기 30일 전에 판매자에게 통지합니다
- 판매자는 새로운 하위 처리자에 대해 이의를 제기할 수 있습니다
- 이의가 정당한 경우 대체 방안이나 계약 해지권을 제공합니다

### 정보주체의 권리

Tajo는 판매자가 정보주체의 권리를 이행할 수 있도록 지원합니다:

**지원되는 권리:**

- 개인정보 열람권을 지원합니다
- 개인정보 정정권을 지원합니다
- 삭제권(“잊힐 권리”)을 지원합니다
- 데이터 이동권을 지원합니다
- 처리에 대한 반대권을 지원합니다
- 처리 제한권을 지원합니다

**요청 처리:**

- 판매자는 언제든지 고객 데이터를 내보낼 수 있습니다
- Tajo 인터페이스에서 고객 데이터를 삭제할 수 있습니다
- 자동화된 데이터 관리를 위한 API 엔드포인트를 제공합니다
- 정보주체의 요청에는 영업일 기준 5일 이내에 응답합니다

### 보안 조치

전체 보안 조치는 DPA 부속서 4에서 확인할 수 있으며, 다음 항목을 포함합니다:

- 물리적 접근 통제와 논리적 접근 통제를 적용합니다
- 저장 중인 데이터와 전송 중인 데이터를 암호화합니다
- 보안 모니터링과 사고 대응 체계를 운영합니다
- 정기적으로 보안 감사와 모의 침투 테스트를 실시합니다
- 직원 교육과 신원 조회를 실시합니다

### 국가 간 데이터 이전

**EU 데이터 보호:**

- 주요 데이터는 EU(벨기에, 프랑스)에 저장합니다
- EU 역외로 이전하는 경우에는 표준계약조항을 적용합니다
- 암호화와 접근 통제를 포함한 보완 조치를 함께 적용합니다
- 해당되는 경우 EU-US 데이터 프라이버시 프레임워크 인증을 취득합니다

**CCPA 준수:**

- 서비스 제공자로서의 관계를 명확하게 정의합니다
- 개인정보를 판매하거나 공유하지 않습니다
- 캘리포니아 주민의 프라이버시 권리를 준수합니다
- 서명된 데이터 처리 계약을 체결합니다

### 감사 권한

판매자는 다음과 같은 권리를 가집니다:

- Tajo의 컴플라이언스를 입증하는 문서를 요청할 수 있습니다
- 보안 인증과 감사 보고서를 검토할 수 있습니다
- 합리적인 사전 통지를 거쳐 연 1회까지 감사를 수행할 수 있습니다
- SOC 2 보고서를 포함한 보안 문서를 받아 볼 수 있습니다

## 규제 준수

### GDPR (일반 개인정보 보호법)

**준수 상태:** 완전 준수

**주요 사항:**

- 모든 처리 활동에 대해 유효한 법적 근거를 확보하고 있습니다
- 모든 판매자와 데이터 처리 계약을 체결합니다
- 개인정보 영향평가(DPIA)를 완료했습니다
- 데이터 보호 책임자를 지정했습니다: [privacy@tajo.io](mailto:privacy@tajo.io)
- 유출 통지 절차를 갖추고 있습니다 (72시간)
- 처리 활동에 관한 기록을 유지합니다
- 설계 단계와 기본 설정에 의한 개인정보 보호 원칙을 적용합니다

### CCPA (캘리포니아 소비자 프라이버시법)

**준수 상태:** 완전 준수

**주요 사항:**

- 서비스 제공자 관계를 유지하며 데이터를 판매하지 않습니다
- 열람, 삭제, 거부 등 소비자의 권리를 지원합니다
- 개인정보 처리방침을 통해 필요한 사항을 고지합니다
- “Do Not Sell My Personal Information” 요청을 이행합니다
- 직원을 대상으로 연간 데이터 보호 교육을 실시합니다
- 판매자와의 계약상 의무를 이행합니다

### NIS 2 지침

**적용 여부:** 해당되는 경우 준수

**사이버 보안 조치:**

- 위험 관리 체계를 구축해 운영합니다
- CSIRT에 보안 사고를 보고합니다
- 공급망 보안 요건을 적용합니다
- 정기적으로 보안 평가를 실시합니다
- 사업 연속성 계획과 재해 복구 계획을 갖추고 있습니다

### DORA (디지털 운영 복원력법)

**적용 여부:** Tajo를 사용하는 금융기관을 위한 준비를 마쳤습니다

**준수 기능:**

- ICT 위험 관리 체계를 갖추고 있습니다
- 사고 보고 절차를 갖추고 있습니다
- 디지털 운영 복원력 테스트를 실시합니다
- 제3자 위험을 관리합니다
- 규제 기관의 접근 권한과 감사 권한을 보장합니다

참고: DORA 규정은 규제 대상 금융기관에만 적용됩니다. DORA의 적용을 받는 금융기관이라면 구체적인 컴플라이언스 문서를 받기 위해 엔터프라이즈 팀에 문의하세요.

## 문의와 지원

### 데이터 보호 책임자

**이메일:** [privacy@tajo.io](mailto:privacy@tajo.io) **역할:** 데이터 보호 컴플라이언스 전반을 감독합니다

### 보안 팀

**이메일:** [security@tajo.io](mailto:security@tajo.io) **역할:** 보안 사고와 관련 문의를 처리합니다

### 판매자 지원

**이메일:** [support@tajo.io](mailto:support@tajo.io) **웹사이트:** [https://tajo.io/kr/contact/](https://tajo.io/kr/contact/) **역할:** 플랫폼 전반의 지원과 도움을 제공합니다

### 보안 취약점 신고

**이메일:** [security@tajo.io](mailto:security@tajo.io) **security.txt:** [https://tajo.io/.well-known/security.txt](https://tajo.io/.well-known/security.txt)

Tajo는 보안 취약점의 책임 있는 공개를 환영합니다.

## 추가 자료

- [개인정보 처리방침](https://tajo.io/kr/privacy)
- [이용약관](https://tajo.io/kr/terms)
- [보안 문서](https://tajo.io/kr/security)
- [쿠키 정책](https://tajo.io/kr/cookies)

## 문서 버전

**버전:** 1.0 **최종 업데이트:** 2025년 1월 **다음 검토:** 2025년 7월

이 문서는 변화하는 데이터 보호 규제와 업계 모범 사례를 지속적으로 준수하기 위해 정기적으로 검토하고 업데이트합니다.